IIS - Включение и конфигурирование проверки подлинности
Данный раздел содержит обобщенную процедуру включения проверки подлинности и более подробные сведения о конфигурировании анонимного, обычного, краткого и встроенного методов проверки подлинности. В нем приведены требования, налагаемые используемым методом, вопросы, связанные с конфигурацией и т.п. Если вы не знакомы с этими методами проверки подлинности, то перед тем, как приступать к включению и настройке проверки подлинности на сервере, прочитайте их описание. Дополнительные сведения об этих методах см. в разделе О проверке подлинности.
Включение проверки подлинности
Конфигурирование анонимной проверки подлинности
Конфигурирование обычной проверки подлинности
Конфигурирование краткой проверки подлинности
Конфигурирование встроенной проверки подлинности Windows
Включение проверки подлинности
Любой метод проверки подлинности или их комбинация могут быть включены для любого веб- или FTP-узла, виртуального каталога или файла.
Чтобы включить метод проверки подлинности для WWW
- Создайте учетную запись пользователя, соответствующую методу проверки подлинности. Если целесообразно, добавьте учетную запись в группу пользователей Windows. Более подробные сведения о создании учетных записей Windows см. в разделе Защита файлов средствами NTFS.
- Сконфигурируйте разрешения NTFS для каталога или файла, доступом к которым необходимо управлять. Дополнительные сведения см. в разделе Задание разрешений NTFS для каталога или файла.
- В оснастке IIS выберите веб-узел, каталог или файл и откройте вкладки его свойств.
- Выберите соответствующую вкладку: Безопасность файла или Безопасность каталога. В группе Анонимный доступ и проверка подлинности нажмите кнопку Изменить.
- В диалоговом окне Способы проверки подлинности выберите один или несколько способов.
Чтобы включить метод проверки подлинности для FTP
- Выполните шаги 1-3 процедуры, описанной выше.
- Выберите вкладку Безопасные учетные записи. Установите флажок Разрешить анонимные подключения.
Примечание. Для FTP проверка подлинности может быть установлена только на уровне узла.
- В поля Пользователь и Пароль введите имя и пароль для анонимного входа. Имя пользователя — это учетная запись анонимного пользователя. Обычно имя пользователя задается в виде IUSR_ИмяКомпьютера. Если флажок Разрешить управление паролем из IIS установлен, то чтобы изменить пароль, нужно сбросить его.
- Установите флажок Разрешить управление паролем из IIS для согласования паролей с учетными записями пользователей Windows.
Примечание. Синхронизацию паролей можно использовать только для учетных записей анонимных пользователей, которые определены на локальном компьютере, но не для анонимных учетных записей на других компьютерах в сети.
- Чтобы все пользователи подключались как анонимные, установите флажок Разрешить только анонимные подключения.
- Нажмите кнопку OK.
- Установите соответствующие разрешения NTFS для анонимной учетной записи. Дополнительные сведения см. в разделе Задание разрешений NTFS для каталога или файла.
Примечание
- Анонимная и встроенная проверка подлинности Windows выбраны по умолчанию.
- И краткая, и встроенная проверка подлинности имеют приоритет перед обычной проверкой. Чтобы гарантировать проверку подлинности всех пользователей только обычной проверкой, сбросьте все остальные флажки.
- Краткая и встроенная проверки подлинности не могут быть использованы для узлов FTP.
-
Веб-сервер будет использовать обычную, краткую и встроенную проверку подлинности только при выполнении следующих условий:
- Анонимный доступ не разрешен.
- Попытка анонимного доступа оказалась неудачной или доступ к файлам и каталогам ограничен разрешениями NTFS.
Важно! При попытке изменить свойства веб-узла или виртуального каталога, веб-сервер запросит разрешение сбросить свойства отдельных подкаталогов или файлов, расположенных на этом узле или в каталоге. Если такое подтверждение получено, предыдущие значения свойств будут заменены новыми. Дополнительные сведения о настройке свойств см. в разделе «Свойства и наследование свойств на узлах» раздела О веб- и FTP-узлах.
Конфигурирование анонимной проверки подлинности
По умолчанию пользователь IUSR_ИмяКомпьютера включается Windows в группу пользователей «Гости». Может быть создано несколько учетных записей анонимных пользователей, по одной на каждый веб- или FTP-узел, каталог или файл. Предоставляя этим учетным записям различные права на доступ или назначая эти учетные записи разным группам пользователей, можно предоставить анонимным пользователям доступ к различным областям веб- и FTP-узлов.
Учетная запись анонимного пользователя должна давать пользователю права локального подключения. Если учетная запись не имеет права «Локальный вход в систему», IIS не сможет обслуживать никакие анонимные запросы. В контроллерах домена учетная запись IUSR_ИмяКомпьютера по умолчанию не имеет права «Локальный вход в систему»; чтобы разрешить анонимные подключения, ей нужно предоставить его.
Можно также изменить привилегии безопасности для учетной записи IUSR_Имя_компьютера в Windows. Однако если учетная запись анонимного пользователя не дает права доступа к определенному ресурсу, веб-сервер не установит анонимное соединение с этим ресурсом. Дополнительные сведения см. в разделе Задание разрешений для веб-сервера.
Чтобы изменить учетную запись, используемую для анонимной проверки подлинности
- В оснастке IIS выберите веб-узел, каталог или файл и откройте вкладки его свойств.
- Выберите соответствующую вкладку: Безопасность файла или Безопасность каталога. В группе Анонимный доступ и проверка подлинности нажмите кнопку Изменить.
- В диалоговом окне Способы проверки подлинности в группе Анонимный доступ нажмите кнопку Изменить.
- В диалоговом окне Учетная запись анонимного пользователя либо введите действительную учетную запись пользователя Windows, которую нужно использовать для анонимного доступа, либо выберите ее с помощью кнопки Обзор.
- Сбросьте флажок Разрешить управление паролем из IIS, чтобы ввести пароль этой учетной записи.
Важно! Если изменить учетную запись IUSR_ИмяКомпьютера, изменения коснутся каждого анонимного запроса, который обслуживается веб-сервером. Будьте внимательны при изменении этой учетной записи.
Конфигурирование обычной проверки подлинности
Включение обычной проверки подлинности не приводит к автоматическому включению проверки подлинности пользователей на веб-сервере. Должны быть созданы учетные записи пользователей Windows и установлены разрешения NTFS (как это описано выше).
Чтобы правильно проверять подлинность пользователей обычным методом, учетные записи пользователей Windows, используемые для обычной проверки подлинности, должны иметь право «Локальный вход в систему». Это право должно быть назначено, поскольку обычная проверка подлинности имитирует локального пользователя (то есть, пользователя, который физически подключен к серверу). По умолчанию учетным записям пользователей на основном контроллере домена Windows (PDC) не предоставляется право локального входа в систему.
Примечание. Требования для права локального входа в систему могут быть изменены с помощью Active Directory Service Interfaces (ADSI). Для получения дополнительной информации см. раздел LogonMethod в руководстве по Active Server Pages.
Необходимо установить стандартный домен для входа. Дополнительные сведения см. в разделе Задание стандартного домена для входа.
Внимание! Обычный метод проверки подлинности передает имена пользователей и пароли по сети в незашифрованном виде. Компьютерные взломщики могут использовать средства слежения за сетью для перехвата этой информации. В сочетании с обычной проверкой подлинности можно использовать возможности шифрования веб-сервера, чтобы обезопасить учетную информацию пользователя при передаче по сети. Дополнительные сведения см. в разделе О шифровании.
Конфигурирование краткой проверки подлинности
Microsoft Internet Explorer версии 5 является единственным обозревателем, поддерживающим в настоящее время краткую проверку подлинности.
Краткая проверка подлинности будет функционировать только на доменах, контроллеры которых управляются операционной системой Windows 2000. Контроллер домена должен иметь копии используемых паролей в виде обычного текста, поскольку он должен выполнить операцию хэширования и сравнить результат со значением хэша, переданного обозревателем на компьютере пользователя. Дополнительные сведения о хранении этих паролей и по другим вопросам см. в документации Windows 2000 Server.
Важно! Поскольку контроллер домена хранит копии паролей в виде обычного текста, он должен быть защищен от физической и сетевой атак. Для получения более подробной информации о защите контроллера домена см. пакет Microsoft Windows 2000 Server Resource Kit.
Конфигурирование встроенной проверки подлинности Windows
Встроенная проверка подлинности Windows не работает через прокси-серверы и другие брандмауэры.
Если встроенная проверка подлинности Windows закончилась неудачей из-за неверных учетных сведений или других проблем, обозреватель предложит пользователю ввести имя и пароль.
Только обозреватель Microsoft Internet Explorer версии 2.0 или более поздней поддерживает встроенную проверку подлинности.
Оставить комментарий
Комментарии
Столкнулся с проблемой.
На двух виртуальных серверах Win 2003 EE SP2 установлен IIS + PHP
На двух реальных серверах Win 2003 EE SP2 установлен IIS + PHP
Использую язык программирования PHP со Встроенной проверкой подлинности Windows средствами IIS.
На реальных серверах все работает прекрасно, на виртуальных пароль даже не запрашивается, а выходит окно о невозможности найти страницу.
Перерыл весь инэт в поисках ответа так и не нашел ответа.
Теперь подробнее:
1. Скрипт на PHP работает внутри компании, используется автоматический вход с текущим именем и паролем доменной учетной записи.
2. Вход либо автоматический, либо, если это первый вход в систему, то пароль запросится.
3. На реальных (физических) серверах все работает прекрасно, но в связи с устареванием, есть необходимость перенести все сервисы на виртуальные сервера.
1. На виртуальных серверах стоит все, тоже самое, что и на реальных. Единственная разница SP2 на реалах ставили отдельно как обновление, а на реалах стоит встроенный.
2. Все сервисы перенесены удачно, если использовать анонимный вход - скрипт работает, т.е. не в PHP дело.
3. Если в свойствах безопаснсти узла IIS выставить пункт «Встроенная проверка подлинности Windows» и попытаться отобразить страницу не происходит ровным счетом ни чего, отображается ошибка 404 «Страница не найдена».
